Investigadores de Assetnote han identificado una vulnerabilidad de día cero crítica en Craft CMS, un sistema de gestión de contenidos muy utilizado con más de 100.000 clientes. Esta vulnerabilidad, registrada como CVE-2024-56145, permite a atacantes no autenticados ejecutar código de forma remota (RCE) bajo las configuraciones predeterminadas de PHP. Con 50.915 instancias de Craft CMS expuestas en línea, la vulnerabilidad representa una seria amenaza para los sistemas afectados.
| Producto | Craft Commerce, Craft CMS |
| Fecha | 25-12-2024 17:57:25 |
| Información |
|
Resumen técnico
La vulnerabilidad afecta a las siguientes versiones de Craft CMS:
- 5.0.0-RC1 (incluida) hasta la 5.5.2 (excluida)
- 4.0.0-RC1 (incluida) hasta la 4.13.2 (excluida)
- 3.0.0 (incluida) hasta la 3.9.14 (excluida)
Cuando register_argc_argv está habilitado (configuración predeterminada en PHP), los atacantes pueden aprovechar la gestión de argumentos de la línea de comandos en el proceso de arranque de Craft CMS, obteniendo la ejecución de código remota no autenticada mediante inyección de plantillas.
Las versiones 5.5.2, 4.13.2 y 3.9.14 de Craft CMS contienen los parches que resuelven esta vulnerabilidad. Se recomienda encarecidamente a los usuarios de las versiones afectadas que actualicen de inmediato.
Recomendaciones
Para mitigar el riesgo de explotación:
- Actualizar Craft CMS:
- Realizar la actualización a la versión 5.5.2 (para usuarios de la 5.x), 4.13.2 (para usuarios de la 4.x) o 3.9.14 (para usuarios de la 3.x).
- Deshabilitar
register_argc_argv:- Mitigación temporal de la vulnerabilidad desactivando esta configuración en el archivo
php.ini:register_argc_argv = Off
- Mitigación temporal de la vulnerabilidad desactivando esta configuración en el archivo
- Verificar las instancias expuestas:
- Identificar las instalaciones de Craft CMS expuestas y verificar que utilicen versiones seguras.
[Callforaction-THREAT-Footer]